发布日期：2002-04-27
更新日期：2002-05-08

受影响系统：

Messagerie Messagerie 1.0

描述：

---

BUGTRAQ  ID: 4635

Messagerie是一款由La Basse维护的WEB信息公告版系统，可使用在多种Linux和Unix操作系统下。

Messagerie对用户提交的URL数据缺少正确充分的检查，可导致远程攻击者无需任何权限就可以删除应用程序用户。

攻击者如果可以获得应用程序相关用户名，就可以提交特殊构建的URL请求给Messagerie系统，由于Messagerie对URL参数缺少正确充分的检查，可导致攻击者删除任意用户帐户。

<**>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

frog frog （leseulfrog@hotmail.com）提供了如下测试方法：

http://www.host.com/supp_membre.php?choix_membre_supp=polom

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 对Messagerie进行访问控制，只允许可信用户访问。

厂商补丁：

Messagerie
----------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www[dot]labasse[dot]fr[dot]st/

浏览次数：2623
严重程度：0（网友投票）